安装式交流电能表型式评价大纲　软件要求

JJF1245.2—20191安装式交流电能表型式评价大纲软件要求1范围本规范适用于频率为50Hz或60Hz单、三相安装式有功电能表(以下简称仪表)软件部分的型式评价。本规范不适用于标称电压超过600V(多相仪表为线对中线电压)的仪表、用于连接电子式互感器(GB/T20840.8—2007)的仪表、用于连接低压电流传感器(IEC61869-10:2018)的仪表、携带式仪表、标准电能表及仪表寄存器的数据接口。2引用文件本规范引用下列文件:JJF1001通用计量术语及定义JJF1182—2007计量器具软件测评指南JJF1245.1—2019安装式交流电能表型式评价大纲有功电能表JJF1245.3—2019安装式交流电能表型式评价大纲无功电能表JJF1245.5—2019安装式交流电能表型式评价大纲功能要求GB/T20840.8—2007互感器第8部分:电子式电流互感器OIMLR46-1/-2:2012有功电能表第1部分:计量和技术要求第2部分:计量控制和性能试验(Activeelectricalenergymeters.Part1:MetrologicalandtechnicalrequirementsPart2:Metrologicalcontrolsandperformancetests)OIMLR46-3:2013有功电能表第3部分:试验报告格式(Activeelectricalen-ergymeters.Part3:Testreportformat)IEC61869-10:2018仪表变压器第10部分:低功率无源电流互感器的附加要求(Instrumenttransformers–Part10:Additionalrequirementsforlow-powerpassivecurrenttransformers)WELMEC7.2:2019软件指南(欧盟计量器具指令)(SoftwareGuide(MeasuringInstrumentsDirective2014/32/EU))凡是注日期的引用文件,仅注日期的版本适用于本规范;凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本规范。3术语JJF1245.1—2019、JJF1245.3—2019、JJF1245.5—2019、JJF1001、JJF1182—2007中的有关定义以及下列术语和定义适用于本规范。3.1设备专有参数device-specificationparameterJJF1245.2—20192基于单一仪表的参数,包含可调整的参数(例如灵敏度或其他修正的参数)和配置参数(如测量范围、分度值、测量单位)的计量参数,通常仪表专有参数应受保护,只有在仪表的特殊操作模式下是可调节的或可选的。可分为不可变更的参数和授权用户可进行设置的参数。3.2数据域datadomain程序中用于保存数据的参数、变量、堆栈。它可能属于一个或几个软件模块。[JJF1182—2007,定义3.14]3.3接口interface仪表的连接部分,它允许几个仪表、其组件之间,及软件模块之间建立通信。[改写JJF1182—2007,定义3.15]3.4软件接口softwareinterface由程序代码和专有数据域组成,在法制相关部分和软件模块之间接收、过滤和传输数据。注:如果软件中存在除法制相关以外的部分,可通过软件接口进行通信,并且在某种意义上可被分离。通信软件部分通过某些可被完全访问(读或写)的变量(或文件)交换数据。这些接口变量和向接口变量写入数据与从接口变量读取数据的程序代码构成了软件接口(这些接口变量符合硬件接口的电路)。接口变量可通过诸如全程序变量、功能参数或数据文件来实现。[JJF1182—2007,定义3.17]3.5用户接口userinterface用户和仪表,仪表的硬件、软件信息之间传递的接口,例如开关、键盘、鼠标、显示设备、打印机、触摸屏、屏幕上的软件窗口以及生成窗口的软件。[改写JJF1182—2007,定义3.18]3.6软件分离softwareseparation仪表中的软件可分成法制相关部分和非法制相关部分,两部分可通过软件接口进行通信。[改写JJF1182—2007,定义3.31]4概述4.1用途和原理仪表的用途及原理见JJF1245.1—2019的第4条。如仪表通过软件实现其功能或属性,仪表的软件可分为法制相关软件和非法制相关软件,包括相应的程序、数据和接口。4.2功能划分4.2.1法制相关软件在仪表中实现以下功能的软件应被认为是法制相关软件:(1)电参数的测量(如:电压、电流、有功功率、无功功率、频率);(2)电能量的计量(如:有功电能、无功电能);JJF1245.2—20193(3)时钟或时钟的维持;(4)设备专有参数的保护;(5)电参数、电能量数据的冻结;(6)清零、升级、校时、修改设备专有参数的事件记录;(7)法制相关软件与非法制相关软件的软件接口;(8)保证法制相关功能安全性的方法;(9)法制相关软件的标识;(10)法制相关内容的显示。4.2.2非法制相关软件实现以下功能的软件可以被认为是非法制相关软件:(1)费率电能的计算、存储与冻结(含费率和时段的设置);(2)最大需量(含各费率最大需量)的计算及存储;(3)显示方式以及非法制相关内容的显示;(4)除法制相关功能外的事件记录;(5)外部数据通信接口的实现(如红外、RS485、载波、无线等);(6)控制功能(如对负荷开关的控制);(7)报警功能;(8)费控功能;(9)其他未被提及的功能。5法制管理要求5.1通用要求仪表应具备保护其计量性能的方法。应具备对软件保护、参数保护以及事件记录授权访问的等级。如果是室外仪表,所有用于保护计量性能的方法都应能耐受阳光辐射。5.2软件的标识应使用软件版本或其他标志明确地标识仪表法制相关软件。软件标识可由多个部分组成,但至少一部分应专用于法制目的。软件标识应和软件本身不可分开,并应通过命令展示或通过操作显示出来。如果符合以下三个条件,可以在仪表上直接印刷软件标识:—显示器无法通过用户接口激活显示软件标识或者显示器技术上无法显示软件标识(例如:模拟指示装置或机电计数器);—仪表没有用于通过命令展示软件标识的接口;—仪表生产后,不可改变软件,或只有在硬件/硬件组件也更改时才可更改软件。制造商负责确保将软件标识正确标记在仪表上。软件标识及其标识方法应在型式评价报告中说明。JJF1245.2—201945.3软件保护5.3.1预防误操作通过软件保护,应使无意、意外或故意的误操作可能性降至最小。5.3.2防止欺诈法制相关软件应防止通过更换存储装置来进行未经授权的修改、加载或更改。仪表需要用安全手段来保护加载软件(参数)的功能。只有明确说明的功能才允许通过用户接口激活,这些功能的实现不能降低仪表防止欺诈的能力。软件保护包括通过机械、电子的合适封印和/或加密方式,使未经授权的干预是不可行的或易于发现的。5.4参数保护确定法制相关特性的参数应防止未经授权的修改。设置的当前参数应能进行验证。一种仪表型式的所有样品,其型式专有参数相同。该参数在仪表型式批准中是固定的。注:型式专有参数是指仅仅依赖于仪表类型的法制相关参数。此参数是法制相关软件的一部分。仅在仪表特殊运行模式(如:编程模式)下,设备专有参数才是可调或可选的。设备专有参数可分为受保护的(不可改变的)、授权人员(如:仪表拥有人、维修人员)可访问的(可设置参数)。不应使用简单密码对参数进行保护。可允许授权人员访问一组有限的设备专有参数。这组设备专有参数及其访问限制/规则应明确说明。存储总电能的寄存器清零应视作对设备专有参数的修改。因此,所有适用于设备专有参数的相关要求适用于清零操作。仪表在正常计量时,不允许修改影响计量的设备专有参数。可规定某些可供用户修改的设备专有参数。在这种情况下,仪表应具备自动地、不可清除地记录设备专有参数的任何修改的能力,如事件记录。仪表应能展示所记录的数据。6计量和技术要求6.1仪表和子组件的分离仪表计量的关键部分(无论软件或硬件)不允许被仪表的其他部分影响。实现法制相关功能的仪表子组件和电子装置应标识、明确定义并说明。它们构成了仪表的法制相关部分。如果实现法制相关功能的子组件没有标识,则所有的子组件都应视为用来实现法制相关功能。型式试验期间,应证明子组件和电子装置的相关功能和数据不允许被由接口接收到的命令所影响。子组件和电子装置中所有已启用的功能或数据改变的每条命令都应明确分配。JJF1245.2—20195见6.3。6.2软件部分的分离实现法制相关功能或包含法制相关数据域的所有软件模块(程序、子程序、对象等)构成仪表的法制相关软件部分,法制相关软件部分应按5.2明确标识。如果实现法制相关功能的软件模块没有标识,则整个软件应视作法制相关。如果法制相关软件部分与其他软件部分通信,应定义软件接口。所有通信应只能通过软件接口进行。法制相关软件部分和接口应明确说明。应描述软件所有法制相关功能和数据域,以判断软件分离的正确性。应明确定义并说明构成软件接口的数据域,软件接口包括从法制相关部分输出到接口数据域的代码,以及从接口输入到法制相关部分的代码。已公布的软件接口不应被绕过。软件的法制相关部分,用于所有已启用的功能或数据改变的每条命令都应明确分配。应声明并说明通过软件接口传送的命令,只允许已说明的命令通过软件接口激活。制造商应声明其说明命令的文件是完整的。6.3数据存储、通过通信系统传输数据6.3.1通用要求如在测量位置以外的其他地方使用测量值或在测量时间之后使用测量值,在使用这些测量值用于法制目的之前,测量值可能不得不离开仪表(电子装置、子组件),并在一个不安全的环境中存储或传输,这种情况下,以下要求适用:—储存或传输的测量值应附有用于未来法制目的的所有相关必要信息。—应通过软件方法保护数据,以保证数据的真实性、完整性以及与测量时间有关的信息的正确性(如有必要)。在从不安全的存储环境读取或从不安全的传输通道接收测量值和附带数据后,用于显示或进一步处理的测量值和附带数据的软件必须对数据的测量时间、真实性和完整性进行验证;如果检测到有不合法的数据,数据应丢弃或标识为不可用。—用于保护数据的密钥应保密并安全保存在仪表中。在封印被破坏后,需提供一定的方法,才能输入或读出密钥。6.3.2自动存储仪表应具备存放实时电能值的数据域,当电能计量发生时,该数据域所记录的电能值应能正确地更新。如果仪表法制相关测量值要用于其他测量值(如:费率电能、最大需量等)的计算,法制相关测量值必须自动存储。存储装置必须具有足够的稳定性,以保证数据在正常存储条件下不被破坏。必须有适用于任何特殊应用的足够存储容量。(1)发生以下任一情况,存储数据可被删除:—交易已经结算;—数据已被受法制控制的打印设备打印。JJF1245.2—20196(2)满足(1)的要求并且存储空间已满时,如果同时满足以下条件,允许删除存储数据:—以与记录顺序相同的顺序删除数据,并且遵守了为特殊应用而设置的规则;—删除要么自动执行,要么在可能需要特殊访问权限的手动操作之后执行。6.3.3数据传输不允许因数据传输延时而影响测量。如果网络服务不可用,不应丢失法制相关的测量数据。6.3.4时间戳时间戳应从仪表的时钟读取。设置时钟(有最大校时间隔限制的广播校时除外)应视作是法制相关的,应按5.4采取适当保护方法。当测量时间对于特殊应用(如多费率仪表、分时仪表)是必需时,为了降低其不确定性,内部时钟可通过特殊方法加强(例如,软件方法)。6.4维护和升级6.4.1通用要求现场不允许升级仪表法制相关软件,法制相关软件的更改视为仪表型式的变更。如果不允许对使用中的仪表进行非法制相关的软件升级,可通过封印设置(物理开关、固化参数)来禁止软件升级机制。这种情况下,不破坏仪表封印无法对非法制相关软件进行升级。满足以下要求,可对非法制相关软件升级:—法制相关软件与非法制相关软件之间明确分离;—型式评价时规定,升级非法制相关部分是可接受的。对仪表非法制相关软件升级前需要对现场样机进行升级功能验证,仪表应对升级过程进行记录。6.4.2升级方法对于同一型式仪表,允许有不同的升级方法。可在6.4.2.1验证升级和6.4.2.2跟踪升级中等同选择,应通过检查确认升级软件是否符合要求。仪表软件升级流程图如图1所示。7杏是香验证成功是(a)验证升级流程图否是是皋图1软件升级流程图场进行后续校验的过程。应按以下(1)～(6)的要求，对仪表中的软件进行更新。要JJF1245.2—20198(2)目标仪表(电子装置、子组件)应有不可升级的、包含完成跟踪升级要求所需的所有检查功能的固定法制相关软件。(3)应使用技术手段来保证加载软件的真实性,即已加载软件源自型式批准证书的所有者。如果加载软件未通过真实性检查,仪表应丢弃该软件并使用先前版本的软件。(4)应使用技术手段来保证加载软件的完整性,即加载前软件不允许改变。这可通过添加加载软件的校验和/或哈希代码以及在加载过程中验证校验和/或哈希代码来实现。如果加载软件未通过校验测试,仪表应丢弃该软件并使用先前版本软件。只有不省略跟踪升级过程中的任何步骤的情况下,才应可继续下载流程。(5)为了后续校验和监视或审查,应使用合适的技术手段(如事件记录)来保证仪表软件的跟踪升级可完全追溯。事件记录应至少包含以下信息:升级过程的成功/失败、待安装软件版本的软件标识、原安装版本的软件标识、升级事件的时间戳、下载方的标识。无论成功与否,每一次升级尝试都应生成一条记录。为了保证在两次成功的现场或抽样检定之间的软件的跟踪升级是可追溯的,支持跟踪升级的存储装置应有充足的容量。已经达到事件记录的存储上限后,应通过技术手段来保证每一条升级记录是可追溯的。注:此要求使负责对法制相关仪表进行计量监督的检查机构在足够长的时间内,对软件的跟踪升级过程进行追溯。(6)首先,仪表制造商应告知用户软件升级的目的,且用户不拒绝升级。其次,仪表制造商、用户、仪表使用者或拥有者,应根据仪表的使用和安装场所,对执行程序升级的方法达成一致。那么,在得到仪表使用者或拥有者的同意后,才能根据需求以及国家法规,对仪表程序进行升级。6.5事件记录检测如仪表有检测功能,配备的事件记录空间应至少存储总量为100条的事件记录,并且事件记录是先入先出类型的。在不破坏封印或未授权访问的情况下[例如,通过代码(密码)或特殊的设备(硬件钥匙等)],事件记录不能修改或清零。6.6软件备案和比对仪表内软件应具备备案和比对能力,制造商应提供操作应用软件,并可通过RS485或红外等接口方便抄读仪表内部程序。型式评价时应将制造商所提供的软件同仪表内读取的软件进行比对,并进行备案。7型式评价项目表型式评价项目选择方法及项目列表见附录A。如果仪表通过了本规范要求的检查和验证,则认为该仪表软件部分符合本规范第5章和第6章的要求。8申请单位应提交的技术资料和试验样机除了JJF1245.1—2019第8章要求的资料和样机之外,应提供第9章要求的文档资料。如果软件可升级,还应提供满足第9章要求的待升级的软件。JJF1245.2—201999型式评价的条件和方法9.1型式评价方法的选择9.1.1文档分析和设计验证(AD)该方法基于制造商提供的被试仪表的文档,验证的通用前提是被试仪表的文档和明确标识的完整性,即属于计量功能的软件成套的完整性。测试人员通过文档中的文字描述和图示来评价被试仪表的功能和特性,并判定其是否符合本规范的要求,给出所有文档符合性的结果。9.1.2软件特性功能测试验证(VFTSw)该方法基于制造商提供的被试仪表的文档,使用手册,工作模式以及测试装置。特性是由软件控制的,如果该特性正确工作,则认为其通过测试,无需进行进一步的软件分析。通过功能测试,判断仪表软件特性是否符合本规范要求。9.1.3各型式评价项目所对应的验证方法型式评价项目见9.2,型式评价记录格式参见附录B。表1列出了各型式评价项目所对应的验证方法。表1规定的型式评价方法技术条款型式评价项目验证方法5.2软件的标识AD+VFTSw5.3.1预防误操作AD+VFTSw5.3.2防止欺诈AD+VFTSw5.4参数保护AD+VFTSw6.1仪表和子组件的分离AD6.2软件部分的分离软件部分的分离的实现AD仪表内的软件接口AD6.3数据存储、通过通信系统传输数据计量数据存储的完整性AD计量数据存储的真实性AD+VFTSw法制相关数据的显示AD+VFTSw存储容量AD传输数据的完整性AD传输数据的真实性AD密钥的保密性AD不合法数据的处理AD+VFTSw6.3.1时间测量数据的保护AD+VFTSw6.3.2自动存储AD+VFTSwJJF1245.2—201910表1(续)技术条款型式评价项目验证方法6.3.3传输延时AD+VFTSw6.3.3传输中断AD+VFTSw6.3.4时间戳AD+VFTSw6.4维护和升级升级机制AD+VFTSw升级软件的真实性AD+VFTSw升级软件的完整性AD+VFTSw非法制相关软件升级的影响AD+VFTSw9.2软件部分型式评价项目9.2.1软件标识试验目的:验证法制相关软件应能被明确标识,并且软件标识应能永久地存在仪表上,或通过命令、操作展现。文档要求:文档应列出软件标识,并描述这些软件标识是如何创建的,如何加密的,如何展现的,以区分法制相关软件标识和其他标识,并评估其唯一性。验证方法:文档分析和设计验证(AD)时应检查以下内容:●文档说明了法制相关软件和非法制相关的标识;●执行法制相关功能的软件被明确地描述,以便验证法制相关软件的标识可以覆盖法制相关的软件部分;●关于法制相关软件标识的可视化描述;●法制相关软件标识唯一性的描述。软件特性功能测试验证(VFTSw)时应验证:●法制相关的软件标识能够如文档中所描述地可视化;●所展现的法制相关软件标识和文档描述的一致;●法制相关的软件标识可以与其他标识相区分。验收准则:仪表的软件标识要求应符合5.2的要求。实例参考:可以采用以下方式实现软件标识:●任何数字、字母和其他的字符串;●任何可能包含版本号的字符串;●一段代码的校验和。如果制造商选择了一个由法制相关和非法制相关软件混合的标识,那么区分标识可以在型式评价报告中使用占位符,如:“abc1.xx”的“abc1”为法制相关软件,“xx”为非法制相关软件。9.2.2预防误操作试验目的:验证通过采取预防技术措施,防止用户无意、意外或故意的误操作行JJF1245.2—201911为,即使发生误操作,仪表的法制相关软件、设备专有参数、存储的计量数据、传输的数据应不受任何影响。文档要求:文档应说明采用何种措施来检测和保护法制相关软件和设备专有参数免受误操作影响。应说明采用何种措施保证计量数据的正确性,如何检测传输错误。验证方法:文档分析和设计验证(AD)时应检查以下内容:●描述了可能出现的误操作行为;●描述了采用的预防误操作措施;●仪表执行了预防误操作措施,并能识别曾发生的误操作行为;●误操作行为的记录(如有)在可预见的数据存储周期结束前,不会出现数据覆盖。软件特性功能测试验证(VFTSw)时应验证:●通过用户接口或者传输通道模拟误操作,以验证仪表的法制相关软件、设备专有参数、存储的计量数据、传输的数据不受影响。验收准则:仪表的预防误操作的要求应符合5.3.1的要求。应采取措施来防止用户接口的误操作。应执行措施来保护计量数据免受意外的改变或删除。实例参考:防止法制相关软件、设备专有参数以及存储测量数据被误操作可以通过如下过程来验证:周期性地计算校验和并与存放的标称值自动比较,如果不匹配,那么仪表应作出对应的反应。防止传输数据被误操作功能可以通过如下过程来验证:通过校验算法来计算整个数据组的校验和,并将其插入到要传输的数据块中。在数据被再次使用前,接收端再次计算校验和的值并与附加的标称值作比较。如果值相匹配,数据组是有效可使用的,否则,必须被删除或标记为无效。9.2.3防止欺诈试验目的:验证法制相关软件和计量数据、存储的数据、传输的数据应能防止未经授权的修改、加载或交换。文档要求:文档应描述所采用的保护措施,尤其是计算校验和以及标称值的方法。验证方法:文档分析和设计验证(AD)时应检查以下内容:●所描述的用于保护软件防止未经授权的内存交换的措施是充分的;●校验和或其他替代标识涵盖了法制相关软件。软件特性功能测试验证(VFTSw)时应验证:●在正常安全运行模式下,检查禁止编程状态的有效性;●将计算的校验和(或)其他替代标识与标称值作比较。验收准则:仪表的防止欺诈要求应符合5.3.2的要求。实例参考:可以采用以下方式实现防止欺诈:●为了防止物理内存的移动或替换,仪表的外壳或物理内存本身应受保护以防止未经授权的移动。JJF1245.2—201912●仪表是被封印的。●程序代码受校验和保护。程序计算其本身的校验和并将其与隐藏在可执行代码中的标称值比较。如果自检失败,程序被锁住。任何校验和机制应至少有2个字节的密钥。加密初始化向量(隐藏在可执行代码中)的CRC校验和被认为是完全符合要求的。●通过合适的身份认证方法保证未经授权的更改的可能性降到最低。9.2.4参数保护试验目的:验证设备专有参数应受保护,防止在设置后有未经授权的修改。文档要求:文档应描述哪些是设备专有参数,它们是否可以被设置,它们如何被设置以及它们是如何被保护的。验证方法:文档分析和设计验证(AD)时应检查以下内容:●被保护后,设备专有参数不允许修改或者调整;●所有提及的应受保护的设备专有参数是被保护的。软件特性功能测试验证(VFTSw)时应验证:●在正常安全运行模式下,检查禁止编程状态的有效性;●如果提供了可以详细查看的菜单项,应检查仪表显示的参数(受保护的/可设置)的分类和状态。验收准则:仪表的参数保护的要求应符合5.4的要求。实例参考:可以采用以下方式实现参数保护:●封印仪表或内存的外壳,通过可封印的相关的跳线或开关来禁用存储电路的写入使能。●修改设备专有参数后生成事件记录。此信息记录存储在非易失性存储器中。每一个条目都会由法制相关软件自动生成,并包含:参数的标识、参数值(当前值或之前值)和时间戳。在毁坏封印前,事件记录不能被删除或更改。9.2.5仪表和子组件的分离试验目的:验证仪表的法制相关部分,不管是软件还是硬件,在未经授权的情况下,不得受到仪表其他部件运行的影响。文档要求:文档应描述法制相关部分的明确定义和同子组件的关系,软/硬件接口。验证方法:文档分析和设计验证(AD)时应检查:●仪表中法制相关部分的明确定义以及同其子组件之间的关系。验收准则:仪表和子组件的分离要求应符合6.1的要求。实例参考:可以采用以下方式实现仪表和子组件的分离:●当仪表法制部分与非法制部分是物理分离的,法制部分应设有通信接口,以便连接仪表,读取测量值。仪表应存储所有相关量,并将可供读取的数值保存足够的时间。●当仪表封装成一体时,仪表应能够明确地区分法制部分和非法制部分,法制部分能够按照软件接口要求输出带有时间戳的计量数据,JJF1245.2—201913并将这些数据发送至非法制相关部分。法制相关软件仅接收已定义的命令,并忽视任何其他命令,仅发回出错信息。9.2.6软件部分的分离9.2.6.1软件部分的分离的实现试验目的:验证软件的一部分应包含所有法制相关的软件和参数,这些软件和参数应与软件的其他部分明确分开。文档要求:文档应描述所有属于法制相关软件、参数的命名。验证方法:文档分析和设计验证(AD)时应检查以下内容:●检查命名是正确的,且所命名组件的列表是完整的。验收准则:仪表的软件的分离要求应符合6.2的要求。实例参考:可以采用以下方式实现软件部分的分离:●法制相关部分和非法制相关部分分别采用明确电气分离的硬件电路,每一电路分别由独立的软件实现。9.2.6.2仪表内的软件接口试验目的:验证法制相关和非法制相关的软件之间的数据交换,必须通过受保护的软件接口来执行。文档要求:文档应描述软件接口,包括所允许的交互和数据流。验证方法:文档分析和设计验证(AD)时应检查以下内容:●法制相关软件的功能和测量过程的行为由已定义和描述的受保护软件接口触发;●数据由已定义和描述的接口进行交换;●关于交互和数据交换的描述是完整的。验收准则:仪表内的软件接口要求应符合6.2的要求。实例参考:可以采用以下方式实现仪表内的软件接口:●法制相关软件部分的数据域通过本地变量的声明来封装在法制相关的部分中。●此接口是以属于法制相关软件的一个子程序实现的,它从非法制相关软件中调用。要传送至法制相关软件的数据被作为子程序的参数来传送。●法制相关软件能过滤出不可接受的接口命令。9.2.7数据存储、通过通信系统传输数据9.2.7.1计量数据存储的完整性试验目的:验证仪表存储的计量数据必须包含所有法制相关目的的必要相关信息。文档要求:文档应描述数据集合的所有域。验证方法:文档分析和设计验证(AD)时应检查以下内容:●法制计量目的所需要的信息都包含在数据集合里。验收准则:仪表的计量数据存储的完整性应符合6.3.1的要求。实例参考:至少应保证能够存储下列数据:14●具有正确分辨力的计量值;●计量单位;●计量时间;●仪表的标识。9.2.7.2计量数据存储的真实性试验目的:验证存储的测量数据必须能被真实地追溯到它们的原始测量。文档要求:文档应描述确保存储数据真实性的方法。验证方法:文档分析和设计验证(AD)时应检查以下内容:●每一个计量值能正确地关联到其相关的计量;●如果使用了一个校验和或签名,验证此校验和或签名是基于整个数据组生成的;●加密数据(如加密初始化向量,若使用)能被保护免受简单工具的监控;●法制和计量目的所需要的所有信息都包含在数据块里。软件特性功能测试验证(VFTSw)时应验证:●相关的存储数据和抄读到数据是否一致。验收准则:仪表的计量数据存储的真实性应符合6.3.1的要求。9.2.7.3法制相关数据的显示试验目的:验证仪表应具备显示法制相关数据的功能。文档要求:文档应描述法制相关数据的显示项目。验证方法:文档分析和设计验证(AD)时应检查以下内容:●显示软件有所需的能力。软件特性功能测试验证(VFTSw)时应验证:●显示提供了所有必要的信息。验收准则:仪表法制相关数据的显示应符合6.3.1的要求。9.2.7.4存储容量试验目的:验证仪表应有足够的存储容量,以满足使用需求。文档要求:文档应声明存储容量,并描述存储计量数据的管理方法。验证方法:文档分析和设计验证(AD)时应检查以下内容:●由制造商提供存储的容量或计算公式是正确的;●在文档所描述的数据存储周期结束前,不应发生数据覆盖。验收准则:仪表的存储容量应符合6.3.1的要求。9.2.7.5传输数据的完整性试验目的:验证传输数据必须包含显示或进一步处理接收单元中的计量数据所有必要的相关信息。文档要求:文档应描述数据集合的所有域。验证方法:文档分析和设计验证(AD)时应检查以下内容:●用于进一步处理接收单元中的计量数据的所有信息都包含在数据集15合中。验收准则:仪表的数据传输的完整性的要求应符合6.3.1的要求。9.2.7.6传输数据的真实性试验目的:验证传输数据的真实性。文档要求:文档应描述保证真实性的手段。验证方法:文档分析和设计验证(AD)时应检查以下内容:●保证真实性的手段是充分的;验收准则:仪表的数据传输的真实性的要求应符合6.3.1的要求。实例参考:可以采用以下方式保证传输数据的真实性:●每一个数据集合有唯一(序列)的识别号,并包含了进行数据计量的时间(时间戳)。●每一个数据集合包含计量数据源的信息,如:生成计量值的仪表的串行码或标识。●在开放网络中,如果数据集合携带了明确的签名,那么其真实性是有保证的。签名应覆盖数据集合的所有域。●数据集合的接收端检查所有数据的合理性。9.2.7.7密钥的保密性试验目的:验证密钥和关联信息必须按测量数据处理并保密,必须防止被破解。文档要求:文档应描述关于密钥管理、密钥与关联信息保密的手段。验证方法:文档分析和设计验证(AD)时应检查以下内容:●被加密信息不能被破解。验收准则:仪表的密钥的保密性要求应符合6.3.1的要求。实例参考:可以采用以下方式保证密钥的保密性:●如果访问密钥被硬件手段保护,那么不需要增加附加的软件手段进行保护。●如果密钥和关联信息以二进制格式被存储在可执行代码中,它所存的地址是不易被发现的,系统软件不提供任何功能来查看或编辑这些数据。如果使用CRC算法代替签名算法,那么初始向量或生成多项式可以被当做密钥。9.2.7.8不合法数据的处理试验目的:验证不合法的数据应被标记,以便软件进行下一步处理。文档要求:文档应描述检测由传输故障或蓄意改变等造成不合法数据的手段。验证方法:文档分析和设计验证(AD)时应检查以下内容:●不合法的数据被删除或标记。软件特性功能测试验证(VFTSw)时应验证:●在通信过程中不合法的数据被明确标识或者放弃接收。验收准则:仪表对不合法数据的处理要求应符合6.3.1的要求。9.2.8时间测量数据的保护16试验目的:验证仪表内部的时间测量是准确的并受到保护。文档要求:文档应描述时间的测量、记录与保护的方式。验证方法:文档分析和设计验证(AD)时应检查以下内容:●时间的测量、记录及保护方式。软件特性功能测试验证(VFTSw)时应验证:●时间测量准确性的验证,按照JJF1245.1—2019的9.5.2执行。验收准则:仪表的对时间测量数据的保护要求应符合6.3.1的要求。9.2.9自动存储试验目的:验证当计量结束时,计量数据必须能自动存储。文档要求:文档应描述自动存储的功能。验证方法:文档分析和设计验证(AD)时应检查以下内容:●存储过程是自动的。软件特性功能测试验证(VFTSw)时应验证:●在计量结束后,计量值能自动存储。验证不存在按钮或菜单项能中断或禁用自动存储。验收准则:仪表的自动存储要求应符合6.3.2的要求。9.2.10传输延时试验目的:验证计量不应受到来自传输延时的影响。文档要求:文档应描述如何保护计量不受传输延迟的影响。验证方法:文档分析和设计验证(AD)时应检查以下内容:●计量不受传输延迟的影响。软件特性功能测试验证(VFTSw)时应验证:●通过增加通信路由层级模拟传输延时,验证此时计量的准确性。验收准则:仪表在数据传输延时的情况下应符合6.3.3的要求。实例参考:可以采用以下方式保证仪表不受传输延时影响:●通信协议是完整的不受延时影响的。9.2.11传输中断试验目的:验证如果网络服务不可用,计量数据不应丢失。文档要求:文档应描述对传输中断或其他故障所采取的保护措施。验证方法:文档分析和设计验证(AD)时应检查以下内容:●所采取的措施来保护计量数据免受传输干扰和中断。软件特性功能测试验证(VFTSw)时应验证:●通过中断通信,验证传输中断不会引起计量数据的丢失。验收准则:仪表在数据传输中断的情况下应符合6.3.3的要求。9.2.12时间戳试验目的:验证时间戳可以被正确使用,并且受到保护。文档要求:文档应描述时间戳的使用方式,校时的方法。验证方法:文档分析和设计验证(AD)时应检查以下内容:17●描述到的数据均能正确被加入时间戳。软件特性功能测试验证(VFTSw)时应验证:●通过校时验证校时功能的正确性。验收准则:仪表的时间戳应符合6.3.4的要求。9.2.13维护和升级9.2.13.1升级机制试验目的:验证软件的加载、传输和随后的软件安装功能正常,并且不影响法制相关软件的正常使用,同时生成相应的事件记录。文档要求:文档应描述如何执行升级功能,事件记录如何生成。验证方法:文档分析和设计验证(AD)时应检查以下内容:●升级方式描述清晰,并易于实现。事件记录信息是完整的。软件特性功能测试验证(VFTSw)时应验证:●执行至少一次软件升级来检查其过程的正确性,并检查其生成的事件记录。验收准则:仪表升级机制应符合6.4的要求。9.2.13.2升级软件的真实性试验目的:验证应采取措施来保证待升级的软件是真实可靠的。文档要求:文档应描述验证待升级软件的真实性,并且如何正确地安装至指定仪表上。验证方法:文档分析和设计验证(AD)时应检查以下内容:●描述验证待升级软件真实性的检测方法是合适的。软件特性功能测试验证(VFTSw)时应验证:●不可靠的安装和不属于仪表的安装能够被阻止。验收准则:仪表对待升级软件的认证应符合6.4的要求。实例参考:可以采用以下方式保证传输软件的真实性:●生成一个基于所要升级的软件部分的电子签名。如果一个存储在仪表中固定软件部分的密钥确保了签名来自于授权机构,那么可以保密钥。●需要自动将存储在仪器法制相关软件部分中的仪器型式的标识与附加到该软件的兼容性列表进行匹配。9.2.13.3升级软件的完整性试验目的:验证应采取措施来保证软件在传输过程中没有被改变。文档要求:文档应描述验证待升级软件的完整性的方法,确保待升级软件在传输过程中没有被改变。验证方法:文档分析和设计验证(AD)时应检查以下内容:●描述验证待升级软件完整性的检测方法是合适的。软件特性功能测试验证(VFTSw)时应验证:JJF1245.2—201918●验证安装被修改的软件是被阻止的。验收准则:仪表对传输软件完整性的检测应符合6.4的要求。实例参考:可以采用以下方式保证升级软件的完整性:●软件生成一个校验和,并与软件附带的校验和标称值作比较。9.2.13.4非法制相关软件升级的影响试验目的:验证应采取措施来保证非法制相关软件升级能够不影响法制相关部分的运行。文档要求:文档应描述验证非法制相关软件功能,并指出如何防止非法制相关软件的升级不影响法制相关软件的正常工作。验证方法:文档分析和设计验证(AD)时应检查以下内容:●描述的防护手段是合适的。软件特性功能测试验证(VFTSw)时应验证:●将非法制相关软件完全擦除或者在升级过程中刻意中断,法制相关部分的功能应正常运行。验收准则:仪表非法制相关软件的升级应符合6.4的要求。10型式评价记录格式型式评价的记录格式见附录B,软件备案和比对的格式见附录C。JJF1245.2—201919附录A试验项目列表表A.1仪表软件功能试验项目表序号型式评价项目技术要求条款测试方法条款1软件标识5.29.2.12预防误操作5.3.19.2.23防止欺诈5.3.29.2.34参数保护5.49.2.45仪表和子组件的分离6.19.2.56软件部分的分离软件部分的分离的实现6.29.2.6.17仪表内的软件接口6.29.2.6.28数据存储、通过通信系统传输数据计量数据存储的完整性6.3.19.2.7.19计量数据存储的真实性6.3.19.2.7.210法制相关数据的显示6.3.19.2.7.311存储容量6.3.19.2.7.412传输数据的完整性6.3.19.2.7.513传输数据的真实性6.3.19.2.7.614密钥的保密性6.3.19.2.7.715不合法数据的处理6.3.19.2.7.816时间测量数据的保护6.3.19.2.817自动存储6.3.29.2.918传输延时6.3.39.2.1019传输中断6.3.39.2.1120时间戳6.3.49.2.1221维护和升级升级机制6.49.2.13.122升级软件的真实性6.49.2.13.223升级软件的完整性6.49.2.13.324非法制相关软件升级的影响6.49.2.13.4注:如申请单位提交的样机明确备注不具备的功能,可不进行相应的验证(如仪表和子组件的分离、软件部分的分离、维护和升级等功能)。20附录B型式评价记录格式(资料性附录)编号:××××××××××型×××仪表软件验证型式评价的记录是基于本规范中对于仪表软件型式的基本要求和解释。本报告描述测试仪表和本规范要求的一致性。B.1符合型式评价需求的检查表表B.1型式评价检查表仪表型式名称:软件版本:(法制相关软件版本/非法制相关软件版本)序号仪表的软件功能制造商说明是否满足型式评价机构验证是否通过不通过1仪表是否具有数据长期存储的功能2仪表是否具有将数据传输至仪表外的通信功能3仪表是否有非法制相关软件,并且是否实现了软件分离4仪表非法制相关软件是否可以升级制造商明确说明不具备的以上功能的一种或多种,型式评价机构可以不予以验证,并在型式评价